dns プロキシ (マイクロソフト dns) が突然パロアルトネットワークファイアウォールによって拒否された

問題

DNS プロキシのトラフィックが突然、パロアルトネットワークファイアウォールによって拒否されます。トラフィックログは、dns トラフィックが UDP であるにもかかわらず、dns トラフィックが突然 "tcp over dns" として識別されることを示しています。

原因

dns プロキシは、dns (53/UDP) のために同じソースポートを使用し、パロアルトネットワークファイアウォールは、"tcp over dns" などのトラフィックを認識します。Microsoft dns プロキシは、送信 dns 要求ごとに1つのセッションを使用し、現在のアルゴリズムによって識別されます。したがって、顧客のトラフィックログから、動作は Microsoft DNS プロキシと同じです。

回避策

セキュリティポリシーに "tcp over dns" を追加します。

所有者: kkondo